Per Tom Meevis, advocat de Law & More
Els ciberatacs com el ransomware, el phishing, els atacs DDoS i la intrusió informàtica rarament afecten només l'organització atacada. Entre les víctimes dels ciberatacs també hi ha clients, empleats, pacients, proveïdors i altres socis de la cadena de subministrament que poden patir pèrdues, i la seva posició legal varia d'un grup a un altre. Per tant, qualsevol persona que vulgui establir, després d'un atac, quines obligacions s'apliquen i quines reclamacions existeixen, ha de determinar primer exactament qui s'ha vist afectat i quins danys s'han produït.
Aquest article aborda, al seu torn, qui es considera víctima, quan s'ha de notificar una violació de dades, en quines condicions existeix el dret a una indemnització, quines parts poden ser responsables, quin paper juga el dret penal, què cobreix normalment una pòlissa d'assegurança cibernètica i quines mesures s'han de prendre immediatament després d'un atac.
Qui són les víctimes dels ciberatacs?
Es poden distingir tres grups en un ciberatac.
- La mateixa organització afectada, que s'enfronta a temps d'inactivitat del sistema, pèrdua de rotació de personal, costos de recuperació, el cost de la investigació forense i danys a la reputació.
- Persones físiques les dades personals de les quals han estat exposades, com ara clients, empleats i pacients. Poden patir pèrdues econòmiques, però també danys no materials per pèrdua de control sobre les seves dades, incertesa o por de frau d'identitat.
- Tercers afectats a través d'una relació contractual o de la cadena de subministrament, per exemple, perquè depenen d'un proveïdor els sistemes del qual han caigut.
Aquesta classificació és legalment rellevant. La base de qualsevol reclamació i la part contra la qual es pot interposar depenen de la posició de la víctima. Una organització afectada generalment demanarà comptes al seu proveïdor de TI en virtut del contracte, mentre que un subjecte de dades pot confiar directament en la base independent de responsabilitat que preveu el RGPD.
Quan s'ha de notificar una violació de dades?
Quan les dades personals estiguin involucrades en un ciberatac, s'ha d'avaluar si hi ha una violació de dades personals i si la notificació és obligatòria. L'article 33 del RGPD exigeix que una violació es notifiqui a l'autoritat de control sense demora indeguda i, quan sigui possible, en un termini de setanta-dues hores, tret que sigui improbable que la violació suposi un risc per als drets i les llibertats de les persones físiques.
A més, l'article 34 del RGPD pot exigir a l'organització que informi els propis interessats. Aquesta obligació sorgeix quan és probable que la violació suposi un alt risc per als seus drets i llibertats. Es pot ometre la comunicació quan s'hagin implementat mesures tècniques adequades com el xifratge, quan mesures posteriors garanteixin que l'alt risc ja no es materialitzarà o quan la comunicació individual implicaria un esforç desproporcionat; en aquest últim cas, n'hi ha prou amb una comunicació pública.
Per a l'interessat, aquesta comunicació és més que una formalitat. Li permet prendre les seves pròpies mesures, per exemple, canviant contrasenyes o vigilant transaccions sospitoses, i a la pràctica sovint és el punt de partida de qualsevol reclamació d'indemnització.
Per tant, una organització ha d'establir no només que s'ha produït un atac, sinó també quines dades s'han vist afectades, si les dades s'han exfiltrat realment i quins riscos se'n deriven. Una investigació forense independent sovint és indispensable per a aquest propòsit.
Això s'aplica encara més quan l'atac es produeix en un encarregat del tractament en lloc de no pas a la mateixa organització. En el procediment sumari entre Blauw Research i Nebu (Tribunal de Districte de Rotterdam, 6 d'abril de 2023, ECLI:NL:RBROT:2023:2931), el jutge de mesures cautelars va sostenir que, en virtut de l' acord de processament de dades conclòs entre les parts, el responsable del tractament tenia dret a més informació sobre l'atac, les seves conseqüències i les mesures adoptades de la que s'havia proporcionat inicialment. També es va ordenar a l'encarregat del tractament que realitzés una investigació forense independent i que informés periòdicament. La sentència mostra que un acord de processament de dades ben redactat és, a la pràctica, l'instrument més important per obtenir informació a temps després d'un incident, precisament perquè el responsable del tractament necessita aquesta informació per complir amb les seves pròpies obligacions de notificació.
Quan neix el dret a una indemnització?
Els interessats poden reclamar una indemnització al responsable o a l'encarregat del tractament en virtut de l'article 82 del RGPD. Tanmateix, un ciberatac no dóna lloc automàticament a una reclamació. Ha d'estar fonamentat:
- que s'ha infringit el RGPD;
- que realment s'ha patit el dany; i
- que hi ha un nexe causal entre aquesta infracció i aquest dany.
Els danys materials poden consistir en pèrdues financeres, costos de recuperació o pèrdues causades per usurpació d'identitat. Pel que fa als danys no materials, el Tribunal de Justícia de la Unió Europea va sostenir en el cas Österreichische Post (TJUE 4 de maig de 2023, C-300/21) que no hi ha un llindar mínim de gravetat, però que una infracció del RGPD per si sola no és suficient per a una indemnització.
De particular rellevància per a les filtracions de dades després d'un ciberatac és Natsionalna agentsia za prihodite (TJUE 14 de desembre de 2023, C-340/21). En aquesta sentència, el Tribunal va sostenir que la por a un possible ús indegut en el futur de dades personals filtrades pot constituir en si mateix un dany moral. Tanmateix, l'interessat ha de justificar aquesta por i les seves conseqüències de manera concreta; no n'hi ha prou amb assenyalar que s'han filtrat dades. En la mateixa sentència, el Tribunal va confirmar que correspon al responsable del tractament demostrar que les mesures de seguretat adoptades eren adequades i que un atac per part d'un tercer no eximeix per si mateix de responsabilitat el responsable.
La responsabilitat en virtut del RGPD existeix juntament amb les bases de dret civil d'incompliment contractual i responsabilitat extracontractual. Segons l'article 6:162(1) del Codi Civil neerlandès, la part que comet un acte il·lícit atribuïble ha d'indemnitzar els danys causats. S'aplica el requisit de relativitat de l'article 6:163: la norma infringida ha de servir per protegir contra el tipus de dany que ha patit la part perjudicada.
És important destacar que l'article 82 del RGPD existeix juntament amb aquestes bases. Per tant, un subjecte de dades no està obligat a fonamentar una reclamació únicament en l'incompliment del contracte o la responsabilitat extracontractual, sinó que pot confiar directament en la base independent de responsabilitat que preveu el RGPD. Per a l'organització afectada, aquesta combinació de bases significa que diverses parts poden presentar reclamacions alhora després d'un atac.
Qui pot ser responsable?
L'organització afectada pot ser responsable si incompleix les seves obligacions contractuals o ha pres mesures de seguretat insuficients. Un proveïdor de serveis informàtics o un encarregat del tractament també poden haver de retre comptes. El que es pot esperar d'aquest proveïdor de serveis ho determina, en primer lloc, el contracte.
Dins d'una relació de tractament, l'acord de tractament de dades té un paper central. L'article 28 del RGPD exigeix que el responsable del tractament i l'encarregat del tractament concloguin un acord d'aquest tipus, que regula, entre altres coses, les mesures de seguretat i la gestió de les violacions de dades. Quan l'atac sigui resultat d'una seguretat inadequada de l'encarregat del tractament, el responsable del tractament pot exigir responsabilitats a l'encarregat del tractament en virtut d'aquest acord per la pèrdua resultant.
Això es desprèn clarament del cas relatiu al ciberatac al municipi de Hof van Twente (Tribunal de Districte d'Overijssel, 10 de maig de 2023, ECLI:NL:RBOVE:2023:1731). Les parts havien acordat la supervisió funcional, no la supervisió de la seguretat. El tribunal va sostenir que el deure de diligència d'un administrador informàtic no s'estén fins al punt que la supervisió de la seguretat formi part tàcita d'una assignació de supervisió funcional, i va desestimar la demanda del municipi. També va ponderar que el mateix municipi havia pres decisions que augmentaven el risc, inclosa la seva política de contrasenyes i l'obertura d'un port RDP.
La imatge reflectida és el cas O'Cliance (Tribunal de Districte de Amsterdam, 14 de novembre de 2018, ECLI:NL:RBAMS:2018:10124). Allà, el proveïdor havia instal·lat una infraestructura informàtica completa i n'havia assumit la gestió. Després d'un atac de ransomware en què també es van xifrar les còpies de seguretat, el tribunal va dictaminar que el subministrament d'aquest paquet complet comportava un deure de diligència de gran abast i que s'havien omès mesures senzilles. Tanmateix, la responsabilitat no es va adjudicar íntegrament: a causa de la culpa contribuent del client, dos terços dels danys van quedar per compte del proveïdor.
El cas del compte de correu electrònic piratejat d'un concessionari d'automòbils il·lustra la importància de la càrrega de la prova sobre una seguretat adequada. En la sentència provisional del 5 de novembre de 2024 (Tribunal d'Apel·lació d'Arnhem-Leeuwarden, ECLI:NL:GHARL:2024:6812), el concessionari va tenir l'oportunitat de demostrar que el seu compte de correu electrònic havia estat protegit adequadament d'acord amb el RGPD, després que un pirata informàtic hagués utilitzat aquest compte per enviar una instrucció de pagament falsa a un comprador. En la sentència posterior del 22 de juliol de 2025 (ECLI:NL:GHARL:2025:4556), el tribunal va determinar que aquesta prova no s'havia lliurat, i després les parts encara havien d'abordar la culpa contribuent del comprador. Per tant, ambdues sentències es refereixen al mateix procediment.
El fil conductor és que els acords contractuals, els riscos del tractament, les mesures realment preses, els avisos donats per ambdues parts i la pròpia conducta de la part perjudicada són importants. Juntament amb la responsabilitat civil, l' Autoritat de Protecció de Dades dels Països Baixos pot imposar multes administratives de fins a 20 milions d'euros o el 4% de la facturació anual mundial, el que sigui més alt. Aquestes multes són independents de si els interessats individuals han patit danys.
La via del dret penal
Un ciberatac també pot constituir un delicte penal, com ara la intrusió informàtica, fer que les dades siguin inaccessibles o apropiar-se de dades no públiques. L'article 138ab(1) del Codi Penal neerlandès tipifica com a delicte obtenir accés intencionat i il·legalment a un sistema automatitzat.
Les víctimes poden denunciar el delicte a la policia, que disposa d'equips especialitzats en ciberdelinqüència. Quan un sospitós és processat, la víctima pot unir-se al procediment penal com a part perjudicada i reclamar-hi una indemnització. Aquesta via evita procediments civils separats, però el resultat depèn de la detecció, el processament i les proves, que amb els delinqüents que operen internacionalment sovint no donen cap resultat. Per a les organitzacions, la denúncia sovint també és una necessitat pràctica, perquè les asseguradores i els socis de la cadena de subministrament ho demanen.
Què cobreix la ciberassegurança?
Una pòlissa d'assegurança cibernètica pot cobrir, entre altres coses:
- resposta a incidents i investigació forense;
- restauració de sistemes i dades;
- pèrdues per interrupció de l'activitat i pèrdua de facturació;
- comunicació de crisi;
- responsabilitat envers tercers;
- costos legals; i
- en alguns casos, multes, pagaments de liquidació o rescats, en la mesura que sigui assegurable segons la legislació aplicable.
La cobertura precisa depèn de la pòlissa. Presteu atenció a les exclusions, les condicions de seguretat, els períodes de notificació, les franquícies i els requisits per contractar experts. L'article 7:957(1) del Codi Civil neerlandès també obliga l'assegurat a prendre mesures raonables per prevenir o limitar les pèrdues. Quan no es compleix aquest deure de salvament, l'assegurador pot reduir la indemnització.
Per tant, cal informar l'asseguradora cibernètica el més aviat possible. Contractar experts externs o pagar un rescat sense el consentiment de l'asseguradora pot afectar la cobertura.
Què cal fer immediatament després d'un ciberatac?
- Registra acuradament l'incident i totes les accions rellevants.
- Aïllar els sistemes afectats sense perdre evidència.
- Contracta un expert forense.
- Avaluar si hi ha una violació de dades notificable.
- Avaluar si cal informar els interessats.
- Denuncieu l'infracció a la policia.
- Notifica l'incident a la teva ciberasseguradora.
- Conserva els registres, les còpies de seguretat, els correus electrònics i altres dades rellevants.
- Mapejar els danys i les possibles parts responsables.
- Informar els clients, els empleats i els socis de la cadena de subministrament amb cura i amb la deguda antelació.
Per tant, un ciberatac no és només un incident tècnic. També és una qüestió de protecció de dades, dret civil, dret penal i dret d'assegurances. Una resposta ràpida i ben documentada no només limita els danys, sinó que és decisiva per a les notificacions, la cobertura de l'assegurança i la vostra posició probatòria en qualsevol procediment.
Per acabar
Els drets i les obligacions després d'un ciberatac s'estenen per diversos camps del dret, i el resultat d'un cas depèn en gran mesura dels fets específics, el contingut del contracte i la qualitat dels registres. La jurisprudència examinada demostra que tant el proveïdor com el client són jutjats per la seva pròpia conducta, i que els terminis com el període de notificació de setanta-dues hores deixen poc marge per a demores.
Law & More ajuda les organitzacions i els interessats amb la gestió legal d'incidents cibernètics: des de l'avaluació dels deures de notificació i la revisió dels acords de processament de dades fins a l'establiment de responsabilitats, problemes d'assegurança i la recuperació de pèrdues. Esteu tractant un ciberatac o una violació de dades, o voleu que els vostres contractes siguin revisats prèviament per aquests riscos pels nostres. Dret de les TIC equip? Si us plau, no dubteu a contacte Law & More per a una conversa sense compromís sobre la vostra situació.
Preguntes freqüents
A continuació responem a les preguntes que ens fan més sovint sobre aquest tema.
Qui són les víctimes d'un ciberatac?
Hi ha tres capes. Primer, la mateixa organització afectada, que suporta el temps d'inactivitat del sistema, la pèrdua de facturació, els costos de recuperació, el cost de la investigació forense i els danys a la reputació. Segon, els interessats, les persones físiques les dades personals de les quals han estat exposades, com ara clients, empleats i pacients. Tercer, tercers que pateixen pèrdues a través d'una relació contractual o de la cadena de subministrament, per exemple, perquè depenen d'un proveïdor que ha fallat. Aquesta classificació determina sobre quina base una part pot presentar una reclamació i contra qui.
En quin termini he de notificar una violació de dades?
L'article 33 del RGPD exigeix la notificació a l'autoritat de control sense demora indeguda i, sempre que sigui possible, en un termini de setanta-dues hores després que es tingui coneixement de la violació. El deure no s'aplica quan és improbable que la violació suposi un risc per als drets i les llibertats de les persones físiques. Aquesta avaluació requereix una anàlisi de la naturalesa de la violació, les categories de dades afectades i les possibles conseqüències.
Quan he d'informar els propis interessats?
Segons l'article 34 del RGPD, quan és probable que la violació suposi un alt risc per als drets i les llibertats dels interessats, es pot ometre la comunicació quan s'hagin implementat mesures tècniques adequades com el xifratge, quan les mesures posteriors garanteixin que l'alt risc ja no es materialitzarà o quan la comunicació individual implicaria un esforç desproporcionat. En aquest últim cas, n'hi ha prou amb una comunicació pública.
Puc exigir informació d'un proveïdor que ha estat piratejat?
Sí, quan un acord de processament de dades ho prevegi. En el procediment sumari entre Blauw Research i Nebu (Tribunal de Districte de Rotterdam, 6 d'abril de 2023, ECLI:NL:RBROT:2023:2931), el jutge de mesures cautelars va sostenir que, en virtut de l'acord de processament de dades, el responsable tenia dret a més informació sobre l'atac, les seves conseqüències i les mesures adoptades de la que s'havia proporcionat, i va ordenar a l'encarregat del tractament que fes una investigació forense independent i que informés periòdicament. Aquesta informació és necessària per complir els vostres propis deures de notificació.
Com a subjecte de dades, tinc dret automàtic a una compensació després d'una violació de dades?
No. L'article 82 del RGPD proporciona una base independent, però heu de demostrar que s'ha infringit el RGPD, que realment heu patit danys i que hi ha un vincle causal entre la infracció i aquests danys. La càrrega de la prova recau en el demandant.
La por a la frau d'identitat es qualifica com a dany moral?
Pot ser. En el cas Natsionalna agentsia za prihodite (TJUE 14 de desembre de 2023, C-340/21), el Tribunal de Justícia va sostenir que la por a un possible ús indegut en el futur de dades personals filtrades pot constituir en si mateix un dany moral. Tanmateix, l'interessat ha de justificar aquesta por i les seves conseqüències de manera concreta. L'Österreichische Post (TJUE 4 de maig de 2023, C-300/21) afegeix que no hi ha un llindar mínim de gravetat, però que una infracció del RGPD per si sola no és suficient.
Qui ha de demostrar que les mesures de seguretat eren adequades?
El responsable del tractament. En el cas C-340/21, el Tribunal de Justícia va confirmar que correspon al responsable del tractament demostrar que les mesures de seguretat adoptades eren adequades i que un atac per part d'un tercer no l'eximeix per si mateix de responsabilitat. Als Països Baixos, això va passar en el cas del compte de correu electrònic piratejat d'un concessionari d'automòbils, on el Tribunal d'Apel·lació d'Arnhem-Leeuwarden primer va donar al concessionari l'oportunitat d'aportar aquesta prova (ECLI:NL:GHARL:2024:6812) i després va considerar que no s'havia aportat (ECLI:NL:GHARL:2025:4556).
El meu proveïdor de TI és responsable si no ha detectat un atac?
Això depèn del que s'hagi acordat. En el cas relatiu al ciberatac al municipi de Hof van Twente (Tribunal de Districte d'Overijssel, 10 de maig de 2023, ECLI:NL:RBOVE:2023:1731), les parts havien acordat la supervisió funcional, no la supervisió de la seguretat. El tribunal va sostenir que el deure de diligència d'un administrador informàtic no s'estén fins al punt que la supervisió de la seguretat en formi part tàcita, i va desestimar la demanda. Quan es proporciona un paquet total més ampli, el deure de diligència pot ser de gran abast, com en el cas O'Cliance (Tribunal de Districte de Amsterdam, 14 de novembre de 2018, ECLI:NL:RBAMS:2018:10124), on el proveïdor va ser considerat responsable de dos terços de la pèrdua.
Pot la meva pròpia conducta reduir la compensació?
Sí. La culpa contributiva juga un paper recurrent en aquests casos. En O'Cliance, un terç de la pèrdua va romandre per al compte del client, i en el cas del compte de correu electrònic piratejat, les parts havien d'abordar la culpa contributiva del comprador. Per tant, la vostra pròpia política de contrasenyes, els ports deixats oberts o els avisos ignorats poden influir directament en el resultat.
Quines multes pot imposar l'autoritat de protecció de dades?
Per infraccions del RGPD, l'autoritat de control pot imposar multes administratives de fins a 20 milions d'euros o el 4% de la facturació anual mundial, el que sigui més alt. Aquestes multes són independents de si els interessats individuals han patit danys i, per tant, representen un risc separat juntament amb la responsabilitat civil.
Puc denunciar l'infracció i reclamar les meves pèrdues a través del procediment penal?
Sí. L'article 138ab(1) del Codi Penal neerlandès tipifica com a delicte accedir intencionadament i il·legalment a un sistema automatitzat. Podeu denunciar el delicte a la policia i, quan un sospitós sigui processat, unir-vos al procediment penal com a part perjudicada per reclamar-hi una indemnització. El resultat depèn de la detecció, el processament i les proves, que amb delinqüents que operen internacionalment sovint no donen cap resultat.
Què cobreix normalment l'assegurança cibernètica?
Normalment, resposta a incidents i investigació forense, restauració de sistemes i dades, pèrdues per interrupció de negoci i pèrdua de facturació, comunicació de crisi, responsabilitat envers tercers i costos legals, i en alguns casos multes, pagaments de liquidació o rescat en la mesura que sigui assegurable segons la legislació aplicable. Vigileu les exclusions, les condicions de seguretat, els períodes de notificació i les franquícies, i reviseu la pòlissa abans que es produeixi un incident.
Puc perdre la cobertura actuant incorrectament després d'un atac?
Això és possible. L'article 7:957(1) del Codi Civil neerlandès obliga l'assegurat a prendre mesures raonables per prevenir o limitar les pèrdues; quan no es compleixi aquest deure de salvament, l'assegurador pot reduir la indemnització. Contractar experts externs o pagar un rescat sense el consentiment de l'assegurador també pot afectar la cobertura. Informeu la vostra asseguradora el més aviat possible.
Quines mesures he de prendre immediatament després d'un ciberatac?
Registra l'incident i totes les accions realitzades, aïlla els sistemes afectats sense perdre proves i contracta un expert forense. A continuació, avalua si hi ha una violació de dades notificable i si cal informar els interessats. Denunciï la infracció, notifiqui a la seva ciberasseguradora, conservi els registres, les còpies de seguretat i la correspondència, mapegi els danys i les parts potencialment responsables i informi els clients, els empleats i els socis de la cadena de subministrament amb cura i a temps.
